用途：在漏洞赏金和渗透测试中系统测试 REST、SOAP、GraphQL API，发现认证绕过、IDOR、注入类等 API 特有漏洞。
主要能力：API 侦察与端点枚举（Swagger/OpenAPI 文档、Kiterunner 扫描）；认证测试（多登录路径、速率限制检查，移动端与 Web API 分开测试）；IDOR/BOLA 测试与绕过（数值替换、数组包裹、JSON 包裹、重复参数、参数污染、通配符）；注入测试（JSON 中 SQL 注入、命令注入、XXE、SSRF、.NET Path.Combine 路径穿越）；HTTP 方法篡改与 Content-Type 切换；GraphQL 测试（内省查询、IDOR、SQL/NoSQL 注入、批量查询绕过限流、嵌套查询 DoS、XSS）；403/401 端点绕过技巧；PDF 导出、limit 参数等输出利用面。
使用方式：准备 Burp Suite 等代理、SecLists 等词表、Python；按侦察→认证→IDOR→注入→方法测试→GraphQL 的流程执行。示例命令如 kr scan https://target.com -w routes-large.kite、python3 json2paths.py swagger.json。
适用场景：授权范围内的漏洞赏金与渗透测试。
限制与要求：必须分别测试移动端、Web、开发者 API 及各版本，验证认证与未认证访问；不应假定各版本安全控制一致，不要跳过未公开端点和速率限制检查；建议添加 X-Requested-With: XMLHttpRequest 头并查询 archive.org 历史端点。具体收费与授权信息暂未提供。
工具：Fuzzapi、Astra、apicheck、Kiterunner、InQL、GraphCrawler、graphw00f、clairvoyance、batchql、graphql-cop、SecLists、Swagger-EZ、json2paths 等。